- Yama var
- CWE-22
CVE-2026-113613
FlexGet decompress eklentisinde dizin geçişi (Zip Slip) açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
FlexGet 3.20.7 öncesi sürümler, decompress eklentisinde dizin geçişi (path traversal) açığı içermektedir. Bu açık, uzak saldırganların kötü amaçlı arşiv üye yollarını sağlayarak rastgele dosyalar yazmasına olanak tanır. Saldırganlar, ../ dizilerini veya mutlak yolları içeren zip ya da rar arşivlerini bir feed üzerinden iletebilir ve Python dosyalarını eklentiler dizinine yazarak kod çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
FlexGet before 3.20.7 contains a path traversal vulnerability in the decompress plugin that allows remote attackers to write arbitrary files by supplying malicious archive member paths. Attackers can deliver zip or rar archives with ../ sequences or absolute paths through a feed, writing Python files into the plugins directory for code execution.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| FlexGet | < 3.20.7 | 3.20.7 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…lexget/security/advisories/GHSA-6v57-v478-59v9 Üretici bülteni
- github.com/…ommit/38fa748461e20befee942f5c79d8a098edea5c1f Yama
- vulncheck.com/…-path-traversal-zip-slip-via-decompress-plugin Üçüncü taraf
- github.com/Flexget/Flexget/releases/tag/v3.20.7 Diğer
- github.com/…20.6/flexget/components/archives/decompress.py Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.